attest 的字段角色推断依赖于字段命名约定，攻击者控制包装器时可以把结果字段命名为 description，规则能发出正确信号但不能让输入变得可信。